Actualidad · 2 de septiembre de 2026 · 9 min de lectura
Las credenciales ya no viven en IT: el nuevo riesgo está repartido por toda la organización
Durante años, hablar de credenciales era hablar principalmente de usuarios, contraseñas, administradores y sistemas corporativos. La estrategia parecía relativamente clara: implementar un directorio centralizado, incorporar autenticación mu…
El problema dejó de pertenecer a IT
Durante años, hablar de credenciales era hablar principalmente de usuarios, contraseñas, administradores y sistemas corporativos. La estrategia parecía relativamente clara: implementar un directorio centralizado, incorporar autenticación multifactor y utilizar soluciones de inicio de sesión único para reducir la cantidad de accesos que cada empleado debía administrar.
Pero la transformación digital cambió esa realidad.
Hoy, una organización puede utilizar decenas o incluso cientos de aplicaciones para operar. Algunas están integradas con los sistemas corporativos y otras funcionan de manera independiente. Redes sociales, plataformas financieras, herramientas comerciales, servicios de colaboración, soluciones SaaS, cuentas de proveedores y herramientas de inteligencia artificial conviven dentro de la misma organización.
El resultado es una superficie de credenciales mucho más amplia y difícil de visualizar.
La proliferación de credenciales no es un fenómeno nuevo, pero está adquiriendo una nueva dimensión. La inteligencia artificial está acelerando la adopción de herramientas y, con ello, también la cantidad de identidades, claves API, tokens y secretos que forman parte del trabajo cotidiano.
El desafío, entonces, ya no consiste únicamente en proteger las cuentas administradas por IT. Consiste en entender dónde existen las credenciales, quién las utiliza, qué información pueden alcanzar y qué ocurre cuando dejan de ser necesarias.
Las credenciales se dispersaron por toda la empresa
Una de las principales dificultades es que cada departamento tiene necesidades diferentes y, por lo mismo, desarrolla sus propios ecosistemas digitales.
Marketing puede administrar las cuentas corporativas de Instagram, LinkedIn o Facebook. Ventas puede utilizar plataformas de inteligencia comercial o firma electrónica. Finanzas puede acceder a portales bancarios y sistemas de facturación. Producto puede trabajar con entornos de prueba, herramientas de desarrollo y servicios de inteligencia artificial.
Todas esas aplicaciones necesitan algún mecanismo de autenticación.
El problema aparece cuando esas credenciales quedan fuera de las herramientas tradicionales de gestión de identidades. El artículo de 1Password señala que, en promedio, el 34 % de las aplicaciones de una organización no están protegidas por SSO, sin considerar además las aplicaciones que los propios empleados incorporan sin supervisión formal.
Esto genera una situación particular: una organización puede tener una estrategia sólida para proteger sus identidades corporativas y, al mismo tiempo, mantener importantes zonas de acceso que permanecen prácticamente invisibles para los equipos de IT y seguridad.
Marketing: cuando una cuenta también representa a la empresa
Pensemos en una situación cotidiana.
Una empresa tiene una cuenta corporativa en Instagram. Cinco personas necesitan utilizarla y, como la plataforma no forma parte del sistema de inicio de sesión corporativo, alguien comparte la contraseña mediante un canal de comunicación interno.
Con el tiempo, una persona cambia de área. Otra abandona la organización. Una agencia externa comienza a trabajar con la marca.
¿Quién tiene actualmente acceso?
La respuesta puede no ser evidente.
Este tipo de cuentas suele recibir menos atención desde una perspectiva de ciberseguridad porque no necesariamente están conectadas a los sistemas que tradicionalmente se consideran críticos. Sin embargo, representan la identidad pública de una organización y pueden convertirse en un objetivo atractivo para los atacantes.
Una cuenta comprometida puede utilizarse para distribuir enlaces maliciosos, modificar información pública o afectar directamente la reputación de una marca. El artículo destaca precisamente esta dificultad: cuando las credenciales se comparten sin mecanismos de supervisión, resulta mucho más complejo determinar quién tiene acceso y cuándo debe revocarse.
Aquí aparece una idea importante: el valor de una credencial no siempre está determinado por el sistema al que permite entrar, sino por lo que el atacante puede hacer después de obtenerla.
Finanzas y Ventas: credenciales que protegen información crítica
En Finanzas y Ventas, el problema adquiere otra dimensión.
Estos departamentos trabajan directamente con información de clientes, operaciones comerciales y datos financieros. Sin embargo, parte de sus herramientas puede quedar fuera de la arquitectura tradicional de identidad de la organización.
Portales bancarios, plataformas de facturación, herramientas de firma electrónica, sistemas de prospección y otras soluciones especializadas pueden depender de credenciales individuales o compartidas.
El riesgo no está solamente en que una contraseña sea débil.
También está en no saber quién tiene acceso, durante cuánto tiempo lo tiene y qué ocurre cuando esa persona cambia de función o abandona la empresa.
Cuando una organización depende de procesos manuales para cambiar contraseñas, revocar accesos o identificar quién recibió determinada credencial, el control se vuelve cada vez más difícil a medida que la empresa crece.
La proliferación de credenciales es, en ese sentido, también un problema de gobernanza.
Producto e inteligencia artificial: los secretos están cambiando de lugar
La llegada de la inteligencia artificial introduce una nueva variable.
Las herramientas basadas en IA ya no se utilizan exclusivamente para tareas experimentales. Se incorporan a procesos de desarrollo, análisis, documentación, investigación y productividad.
Eso significa que también comienzan a interactuar con información que antes permanecía dentro de sistemas más controlados.
Un desarrollador puede utilizar una clave API para conectar un servicio. Un equipo de Producto puede incorporar información de un entorno de prueba a una herramienta de IA. Un agente puede necesitar credenciales para ejecutar una determinada acción.
El problema es que una credencial puede terminar formando parte del contexto que recibe una herramienta o un agente sin que ese uso haya sido considerado originalmente dentro de la estrategia de seguridad.
El artículo plantea justamente este cambio: los secretos dejaron de ser responsabilidad exclusiva de los desarrolladores. Con la expansión de la IA, otros departamentos también pueden interactuar con claves API, tokens, credenciales de entornos y otros secretos técnicos.
Por eso, el desafío ya no consiste únicamente en proteger una contraseña.
Ahora también es necesario controlar qué identidad puede utilizar un secreto, para qué propósito, desde dónde y durante cuánto tiempo.
El riesgo también entra por terceros
A esta complejidad se suma un actor que muchas organizaciones conocen bien: proveedores, agencias, contratistas y socios externos.
Un tercero puede necesitar acceso a una plataforma durante semanas o meses para desarrollar un proyecto. El acceso puede ser legítimo y necesario, pero la organización debe responder una pregunta fundamental:
¿Cómo se asegura de que ese acceso desaparezca cuando deje de ser necesario?
En la práctica, esta gestión muchas veces depende de procesos manuales.
Alguien debe recordar que existe la cuenta. Alguien debe identificar qué permisos fueron entregados. Alguien debe revocar el acceso. Y alguien debe comprobar que no quedaron credenciales compartidas fuera del control de la organización.
El informe citado por 1Password recoge precisamente el crecimiento del riesgo asociado a terceros y relaciona varios incidentes con autenticación insegura, rotación deficiente de credenciales y permisos excesivos.
Aquí el principio de mínimo privilegio adquiere especial relevancia: un tercero debería tener únicamente el acceso necesario para cumplir su función y durante el tiempo estrictamente necesario.
El límite del SSO y la aparición del Shadow IT
El inicio de sesión único continúa siendo una herramienta fundamental para reducir la exposición de credenciales. Sin embargo, no puede resolver por sí solo todo el problema.
Existen aplicaciones que no ofrecen integración con SSO, cuentas que funcionan de manera independiente y herramientas que los empleados incorporan porque necesitan resolver rápidamente una necesidad de negocio.
Así aparece el llamado Shadow TI: tecnología que se utiliza dentro de la organización sin formar parte necesariamente del inventario oficial de TI.
La dificultad no está solamente en descubrir que existe una aplicación.
También es necesario conocer:
- quién la utiliza;
- qué credenciales requiere;
- qué información puede consultar;
- qué integraciones posee;
- qué terceros tienen acceso;
- y qué sucede cuando esa aplicación deja de utilizarse.
Sin esa visibilidad, la estrategia de seguridad termina protegiendo muy bien aquello que conoce mientras deja espacios sin supervisión.
De administrar contraseñas a gobernar credenciales
Este escenario plantea un cambio importante en la forma de entender la seguridad de las identidades.
Durante mucho tiempo, el objetivo fue reducir la cantidad de contraseñas que debía recordar una persona. Hoy el desafío es mucho más amplio: gobernar todas las formas mediante las cuales una persona, aplicación, agente o tercero puede acceder a información y sistemas.
Eso incluye contraseñas, claves API, tokens, secretos de desarrollo, cuentas compartidas y credenciales utilizadas por herramientas automatizadas.
La pregunta deja de ser únicamente:
¿Quién puede iniciar sesión?
Y comienza a ser:
¿Quién puede acceder a qué, mediante qué credencial, bajo qué condiciones y durante cuánto tiempo?
Para responderla, las organizaciones necesitan una visión transversal que combine inventario, control de accesos, mínimo privilegio, monitoreo y capacidad de revocación.
También necesitan establecer políticas que contemplen los departamentos que tradicionalmente quedaron fuera de las conversaciones de identidad y seguridad.
Porque si una cuenta corporativa de redes sociales, una plataforma financiera o una herramienta de IA puede acceder a información relevante, también forma parte de la superficie de seguridad de la organización.
¿Qué deberían comenzar a hacer las organizaciones?
El primer paso es recuperar visibilidad.
Antes de implementar nuevos controles, las organizaciones necesitan identificar qué credenciales existen realmente y dónde están siendo utilizadas.
Esto implica revisar aplicaciones fuera de SSO, cuentas compartidas, accesos de terceros, claves API, secretos de desarrollo y herramientas de IA utilizadas por los equipos.
El segundo paso es establecer responsabilidades claras. Cada credencial debería tener un propietario, un propósito definido y un nivel de acceso acorde con la función que cumple.
Después viene la revisión periódica.
Los accesos que alguna vez fueron necesarios pueden dejar de serlo. Un proveedor puede terminar un contrato. Un empleado puede cambiar de departamento. Una aplicación puede ser reemplazada.
La seguridad debe acompañar esos cambios.
Finalmente, es necesario incorporar la IA dentro de esta estrategia. Si los agentes y herramientas automatizadas comienzan a interactuar con sistemas corporativos, sus credenciales también deben quedar bajo políticas de control, autorización y monitoreo.
La protección de las identidades ya no puede diseñarse pensando únicamente en personas.
La seguridad comienza donde termina la visibilidad
La proliferación de credenciales no representa simplemente un problema de contraseñas. Es el resultado natural de organizaciones cada vez más digitales, distribuidas y conectadas.
Cada nuevo SaaS, cada proveedor, cada cuenta corporativa y cada herramienta de IA puede crear una nueva vía de acceso.
Y mientras más distribuida está una organización, más difícil resulta saber dónde están esas vías y quién puede utilizarlas.
Por eso, el desafío actual no es eliminar todas las credenciales. Es hacer que cada una de ellas sea visible, controlable y trazable.
La seguridad de la identidad está evolucionando desde la administración de usuarios hacia una disciplina mucho más amplia: comprender y gobernar todas las formas de acceso que existen dentro de una organización.
Porque en un entorno donde las personas, aplicaciones, agentes de IA y terceros trabajan conectados, proteger la identidad significa proteger también las relaciones que permiten que la empresa funcione.
Y esa superficie ya no está concentrada en IT. Está en toda la organización.